{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"802.1X be\u00e1ll\u00edt\u00e1sa Cisco switch-eken megb\u00edzhat\u00f3 NPS seg\u00edts\u00e9g\u00e9vel (Windows RADIUS AD-vel)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"802.1X
\nGyakorlati szempontb\u00f3l n\u00e9zz\u00fck meg a Windows Active Directory + NPS (2 szerver a magas rendelkez\u00e9sre \u00e1ll\u00e1s biztos\u00edt\u00e1s\u00e1hoz) + 802.1x szabv\u00e1ny haszn\u00e1lat\u00e1t a hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9s \u00e9s a felhaszn\u00e1l\u00f3i hiteles\u00edt\u00e9s \u2013 domainek sz\u00e1m\u00edt\u00f3g\u00e9p \u2013 eszk\u00f6z\u00f6k eset\u00e9n. A szabv\u00e1ny elm\u00e9let\u00e9t a Wikipedia-n tal\u00e1lja, a k\u00f6vetkez\u0151 linken: IEEE 802.1X<\/a><\/noindex><\/p>\n

Mivel az \u201elaborom\u201d er\u0151forr\u00e1sokban korl\u00e1tozott, az NPS \u00e9s a tartom\u00e1nyvez\u00e9rl\u0151 szerepeit \u00f6sszevonjuk, de nekem azt javaslom, hogy ezeket a kritikus szolg\u00e1ltat\u00e1sokat k\u00fcl\u00f6n kezelj\u00e9k.<\/p>\n

Nincsenek standard m\u00f3dszerek a Windows NPS konfigur\u00e1ci\u00f3k (politikai) szinkroniz\u00e1l\u00e1s\u00e1ra, ez\u00e9rt PowerShell szkripteket fogunk haszn\u00e1lni, amelyeket az \u00fctemezett feladat ind\u00edt el (a szerz\u0151 volt koll\u00e9g\u00e1m). A domainek sz\u00e1m\u00edt\u00f3g\u00e9peinek \u00e9s a nem k\u00e9pes eszk\u00f6z\u00f6k (telefonok, nyomtat\u00f3k stb.) hiteles\u00edt\u00e9s\u00e9hez csoporth\u00e1zirendet fogunk be\u00e1ll\u00edtani \u00e9s biztons\u00e1gi csoportokat l\u00e9trehozni. 802.1x<\/b> (telefonok, nyomtat\u00f3k stb.), csoporth\u00e1zirend be\u00e1ll\u00edt\u00e1sa \u00e9s biztons\u00e1gi csoportok l\u00e9trehoz\u00e1sa fog t\u00f6rt\u00e9nni.<\/p>\n

A cikk v\u00e9g\u00e9n n\u00e9h\u00e1ny 802.1x m\u0171k\u00f6d\u00e9s\u00e9nek finoms\u00e1gait fogom bemutatni \u2013 hogyan lehet haszn\u00e1lni a nem kezelt switch-eket, a dinamikus ACL-t, stb. Megosztom azokat az inform\u00e1ci\u00f3kat, amiket a \u201eglitch\u201d-ekr\u0151l gy\u0171jt\u00f6ttem.
\n<\/a><\/noindex>
\nKezdj\u00fck a failover NPS telep\u00edt\u00e9s\u00e9vel \u00e9s be\u00e1ll\u00edt\u00e1s\u00e1val a Windows Server 2012R2 rendszeren (a 2016-os verzi\u00f3ban minden hasonl\u00f3an t\u00f6rt\u00e9nik): a Server Manager-en kereszt\u00fcl -> Az szerepk\u00f6r\u00f6k \u00e9s szolg\u00e1ltat\u00e1sok var\u00e1zsl\u00f3 hozz\u00e1ad\u00e1sa, csak a Network Policy Server-t v\u00e1lasztjuk ki.<\/p>\n

\"802.1X
\n
\nvagy PowerShell seg\u00edts\u00e9g\u00e9vel:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Egy kis pontos\u00edt\u00e1s \u2013 mivel a Protected EAP (PEAP)<\/b> sz\u00e1m\u00e1ra felt\u00e9tlen\u00fcl sz\u00fcks\u00e9ge lesz egy tan\u00fas\u00edtv\u00e1nyra, amely igazolja a szerver hiteless\u00e9g\u00e9t (megfelel\u0151 haszn\u00e1lati jogokkal), amely a kliens sz\u00e1m\u00edt\u00f3g\u00e9peken megb\u00edzhat\u00f3v\u00e1 v\u00e1lik, ez\u00e9rt val\u00f3sz\u00edn\u0171leg sz\u00fcks\u00e9ge lesz a Certification Authority<\/b>szerepk\u00f6r telep\u00edt\u00e9s\u00e9re is. De felt\u00e9telezz\u00fck, hogy CA<\/b> m\u00e1r fel van telep\u00edtve\u2026<\/p><\/blockquote>\n
 Ugyanezt fogjuk tenni a m\u00e1sodik szerveren is. K\u00e9sz\u00edt\u00fcnk egy mapp\u00e1t a szkripthez C:Scripts n\u00e9ven mindk\u00e9t szerveren \u00e9s egy megosztott mapp\u00e1t a m\u00e1sodik szerveren SRV2NPS-config$<\/b><\/p>\n
Az els\u0151 szerveren l\u00e9trehozunk egy PowerShell szkriptet C:ScriptsExport-NPS-config.ps1<\/i> az al\u00e1bbi tartalommal:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nEzut\u00e1n be\u00e1ll\u00edtjuk a feladatot a Task Scheduler-ben: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nMinden felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra v\u00e9grehajt\u00e1s \u2014 Futtassa a legmagasabb jogosults\u00e1gokkal
\nNaponta \u2014 Ism\u00e9telje meg a feladatot 10 percenk\u00e9nt 8 \u00f3r\u00e1n kereszt\u00fcl.<\/i><\/p>\n
A tartal\u00e9k NPS-en be\u00e1ll\u00edtjuk a konfigur\u00e1ci\u00f3 (politikai) import\u00e1l\u00e1s\u00e1t:
\nk\u00e9sz\u00edt\u00fcnk egy PowerShell szkriptet:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\n\u00e9s feladatot \u00e1ll\u00edtunk be az elv\u00e9gz\u00e9s\u00e9re 10 percenk\u00e9nt:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nMinden felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra v\u00e9grehajt\u00e1s \u2014 Futtassa a legmagasabb jogosults\u00e1gokkal
\nNaponta \u2014 Ism\u00e9telje meg a feladatot 10 percenk\u00e9nt 8 \u00f3r\u00e1n kereszt\u00fcl.<\/i><\/p>\n
Most, a vizsg\u00e1lathoz adjunk hozz\u00e1 az NPS-hez egy p\u00e1r kapcsol\u00f3t a RADIUS \u00fcgyfelekhez (IP \u00e9s Shared Secret), k\u00e9t csatlakoz\u00e1si k\u00e9r\u00e9s politik\u00e1t: WIRED-Connect<\/b> (Felt\u00e9tel: \"NAS port t\u00edpusa \u2013 Ethernet\") \u00e9s WiFi-Enterprise<\/b> (Felt\u00e9tel: \"NAS port t\u00edpusa \u2013 IEEE 802.11\"), valamint egy h\u00e1l\u00f3zati politika Hozz\u00e1f\u00e9r\u00e9s Cisco H\u00e1l\u00f3zati Eszk\u00f6z\u00f6kh\u00f6z<\/i><\/b> (H\u00e1l\u00f3zati Adminisztr\u00e1torok):<\/p>\n
Felt\u00e9telek:\nWindows csoportok - domainsg-network-admins\nKorl\u00e1toz\u00e1sok:\nAzonos\u00edt\u00e1si m\u00f3dszerek - Ny\u00edlt sz\u00f6veges ellen\u0151rz\u00e9s (PAP, SPAP)\nParam\u00e9terek:\nRADIUS attrib\u00fatumok: Standard - Service-Type - Login\nSzolg\u00e1ltat\u00f3t\u00f3l f\u00fcgg\u0151 - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
A kapcsol\u00f3k k\u00f6vetkez\u0151 be\u00e1ll\u00edt\u00e1sai:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
A be\u00e1ll\u00edt\u00e1s ut\u00e1n, 10 perc eltelt\u00e9vel, minden klienstanulm\u00e1nyoz\u00e1sparam\u00e9ternek meg kell jelennie a tartal\u00e9k NPS-ben, \u00e9s be tudunk jelentkezni a kapcsol\u00f3kra az ActiveDirectory fi\u00f3kkal, amely a domainsg-network-admins csoport tagja (amit el\u0151re l\u00e9trehoztunk).<\/p>\n
T\u00e9rj\u00fcnk \u00e1t az Active Directory be\u00e1ll\u00edt\u00e1s\u00e1ra \u2013 l\u00e9trehozunk csoport- \u00e9s jelsz\u00f3 politik\u00e1kat, l\u00e9trehozzuk a sz\u00fcks\u00e9ges csoportokat.<\/p>\n
Csoportpolitika Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Sz\u00e1m\u00edt\u00f3g\u00e9p be\u00e1ll\u00edt\u00e1sok (Enged\u00e9lyezve)\n   Politikai\n     Windows be\u00e1ll\u00edt\u00e1sok\n        Biztons\u00e1gi be\u00e1ll\u00edt\u00e1sok\n          Rendszerszolg\u00e1ltat\u00e1sok\n     Wired AutoConfig (Ind\u00edt\u00e1si m\u00f3d: Automatikus)\nWired H\u00e1l\u00f3zati (802.3) Politikai<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
N\u00e9v\tNPS-802-1x\nLe\u00edr\u00e1s\t802.1x\nGlob\u00e1lis be\u00e1ll\u00edt\u00e1sok\nBE\u00c1LL\u00cdT\u00c1S\t\u00c9RT\u00c9K\nWindows vezet\u00e9k n\u00e9lk\u00fcli LAN h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1sok haszn\u00e1lata az \u00fcgyfelek sz\u00e1m\u00e1ra\tEnged\u00e9lyezve\nMegosztott felhaszn\u00e1l\u00f3i hiteles\u00edt\u0151 adatok h\u00e1l\u00f3zati hiteles\u00edt\u00e9shez\tEnged\u00e9lyezve\nH\u00e1l\u00f3zati Profil\nBiztons\u00e1gi be\u00e1ll\u00edt\u00e1sok\nIEEE 802.1X hiteles\u00edt\u00e9s enged\u00e9lyez\u00e9se h\u00e1l\u00f3zati hozz\u00e1f\u00e9r\u00e9shez\tEnged\u00e9lyezve\nIEEE 802.1X hiteles\u00edt\u00e9s k\u00e9nyszer\u00edt\u00e9se h\u00e1l\u00f3zati hozz\u00e1f\u00e9r\u00e9shez\tLetiltva\nIEEE 802.1X be\u00e1ll\u00edt\u00e1sok\nSz\u00e1m\u00edt\u00f3g\u00e9p hiteles\u00edt\u00e9s\tCsak sz\u00e1m\u00edt\u00f3g\u00e9p\nMaxim\u00e1lis hiteles\u00edt\u00e9si hib\u00e1k\t10\nMaxim\u00e1lis EAPOL-Start \u00fczenetek k\u00fcld\u00e9se\t \nTart\u00e1si id\u0151szak (m\u00e1sodpercek)\t \nKezd\u00e9si id\u0151szak (m\u00e1sodpercek)\t \nHiteles\u00edt\u00e9si id\u0151szak (m\u00e1sodpercek)\t \nH\u00e1l\u00f3zati hiteles\u00edt\u00e9si m\u00f3dszer tulajdons\u00e1gai\nHiteles\u00edt\u00e9si m\u00f3dszer\tV\u00e9dett EAP (PEAP)\nSzerver tan\u00fas\u00edtv\u00e1ny valid\u00e1l\u00e1sa\tEnged\u00e9lyezve\nCsatlakoz\u00e1s ezekhez a szerverekhez\t \nNe k\u00e9rjen felhaszn\u00e1l\u00f3t \u00faj szerverek vagy megb\u00edzhat\u00f3 tan\u00fas\u00edtv\u00e1nyhat\u00f3s\u00e1gok enged\u00e9lyez\u00e9s\u00e9re\tLetiltva\nGyors \u00fajracsatlakoz\u00e1s enged\u00e9lyez\u00e9se\tEnged\u00e9lyezve\nKipr\u00f3b\u00e1l\u00e1s, ha a szerver nem mutat be cryptobinding TLV-t\tLetiltva\nH\u00e1l\u00f3zati hozz\u00e1f\u00e9r\u00e9si v\u00e9delem k\u00e9nyszer\u00edt\u00e9se\tLetiltva\nHiteles\u00edt\u00e9si m\u00f3dszer be\u00e1ll\u00edt\u00e1sa\nHiteles\u00edt\u00e9si m\u00f3dszer\tBiztons\u00e1gos jelsz\u00f3 (EAP-MSCHAP v2)\nAutomatikus haszn\u00e1lat az Windows bejelentkez\u00e9si n\u00e9vvel \u00e9s jelsz\u00f3val (\u00e9s domain, ha van)\tEnged\u00e9lyezve<\/code><\/pre>\n
\"802.1X
\n
\nHozzunk l\u00e9tre biztons\u00e1gi csoportot sg-computers-8021x-vl100<\/i><\/b>, ahov\u00e1 a sz\u00e1m\u00edt\u00f3g\u00e9peket fogjuk hozz\u00e1adni, amelyeket a 100-as VLAN-ba szeretn\u00e9nk allok\u00e1lni, \u00e9s be\u00e1ll\u00edtjuk a kor\u00e1bban l\u00e9trehozott csoporth\u00e1zirend szerinti sz\u0171r\u00e9st erre a csoportra:<\/p>\n
\"802.1X
\n
\nA csoporth\u00e1zirend sikeres alkalmaz\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9hez nyissuk meg a \"H\u00e1l\u00f3zati \u00e9s megoszt\u00e1si k\u00f6zpont (H\u00e1l\u00f3zati be\u00e1ll\u00edt\u00e1sok \u00e9s internet) \u2013 Adapterbe\u00e1ll\u00edt\u00e1sok m\u00f3dos\u00edt\u00e1sa (Adapterbe\u00e1ll\u00edt\u00e1sok konfigur\u00e1l\u00e1sa) \u2013 Adapter tulajdons\u00e1gai\" lehet\u0151s\u00e9get, ahol l\u00e1thatjuk az \"Azonos\u00edt\u00e1s\" f\u00fclet:<\/p>\n
\"802.1X
\n
\nMiut\u00e1n biztosak vagyunk benne, hogy a h\u00e1zirend sikeresen alkalmaz\u00e1sra ker\u00fclt, folytathatjuk a h\u00e1l\u00f3zati politik\u00e1k be\u00e1ll\u00edt\u00e1s\u00e1t az NPS-n\u00e9l \u00e9s a bel\u00e9p\u00e9si szint\u0171 switchek portjain\u00e1l.<\/p>\n
Hozzuk l\u00e9tre a h\u00e1l\u00f3zati politik\u00e1t neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Felt\u00e9telek:\n  Windows Csoportok - sg-computers-8021x-vl100\n  NAS Port T\u00edpus - Ethernet\nKorl\u00e1toz\u00e1sok:\n  Azonos\u00edt\u00e1si M\u00f3dszerek - Microsoft: V\u00e9dett EAP (PEAP) - Titkos\u00edtatlan azonos\u00edt\u00e1s (PAP, SPAP)\n  NAS Port T\u00edpus - Ethernet\nBe\u00e1ll\u00edt\u00e1sok:\n  Alap\u00e9rtelmezett:\n   Framed-MTU 1344\n   TunnelMediumType 802 (tartalmazza az \u00f6sszes 802 m\u00e9di\u00e1t, valamint az Ethernet kanonikus form\u00e1tumot)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtu\u00e1lis LAN-ok (VLAN)<\/code><\/pre>\n
\n\"802.1X
\n
\nSzokv\u00e1nyos be\u00e1ll\u00edt\u00e1sok a switchport sz\u00e1m\u00e1ra (figyelmet k\u00e9rek, hogy a \"t\u00f6bb domainek\" azonos\u00edt\u00e1si t\u00edpust haszn\u00e1lj\u00e1k \u2013 Data & Voice, \u00e9s van lehet\u0151s\u00e9g MAC c\u00edm szerinti azonos\u00edt\u00e1sra. Az \"\u00e1tmeneti id\u0151szak\" kedv\u00e9\u00e9rt \u00e9rdemes a k\u00f6vetkez\u0151 param\u00e9tereket alkalmazni:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\na VLAN ID nem a \"karant\u00e9n\" VLAN, hanem az, ahov\u00e1 a felhaszn\u00e1l\u00f3i sz\u00e1m\u00edt\u00f3g\u00e9pnek el kell jutnia a sikeres azonos\u00edt\u00e1s ut\u00e1n \u2013 mindaddig, am\u00edg meg nem gy\u0151z\u0151d\u00fcnk r\u00f3la, hogy minden rendben m\u0171k\u00f6dik. Ezeket a param\u00e9tereket m\u00e1s forgat\u00f3k\u00f6nyvekben is felhaszn\u00e1lhatjuk, p\u00e9ld\u00e1ul amikor ez a port egy fel\u00fcgyelet n\u00e9lk\u00fcli switchhez csatlakozik, \u00e9s azt szeretn\u00e9nk, hogy minden csatlakoztatott, de azonos\u00edtatlan eszk\u00f6z egy meghat\u00e1rozott VLAN-ba (\"karant\u00e9n\") ker\u00fclj\u00f6n.<\/p>\n
switchport be\u00e1ll\u00edt\u00e1sok 802.1x m\u00f3dban host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Ellen\u0151rizze, hogy a sz\u00e1m\u00edt\u00f3g\u00e9p\/telefon sikeresen \u00e1tment-e az azonos\u00edt\u00e1son a k\u00f6vetkez\u0151 paranccsal:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nMost hozzunk l\u00e9tre egy csoportot (p\u00e9ld\u00e1ul, sg-fgpp-mab<\/i> ) az Active Directory-ban telefonokhoz, \u00e9s hozz\u00e1adunk egy tesztel\u00e9sre egy k\u00e9sz\u00fcl\u00e9ket (az \u00e9n esetemben ez Grandstream GXP2160<\/i><\/b> MAC-c\u00edmmel 000b.82ba.a7b1<\/b> \u00e9s a hozz\u00e1 tartoz\u00f3 felhaszn\u00e1l\u00f3i fi\u00f3kkal domain 00b82baa7b1<\/b>). <\/p>\n
A l\u00e9trehozott csoport sz\u00e1m\u00e1ra cs\u00f6kkentj\u00fck a jelsz\u00f3politikai k\u00f6vetelm\u00e9nyeket (a Finomhangolt jelsz\u00f3politik\u00e1k<\/a><\/noindex> felhaszn\u00e1l\u00e1s\u00e1val az Active Directory Administrative Center -> domain -> System -> Password Settings Container) az al\u00e1bbi param\u00e9terekkel Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"802.1X
\n
\nez\u00e1ltal lehet\u0151v\u00e9 t\u00e9ve, hogy a k\u00e9sz\u00fcl\u00e9kek MAC-c\u00edm\u00e9t jelsz\u00f3k\u00e9nt haszn\u00e1lhassuk. Ezt k\u00f6vet\u0151en l\u00e9trehozhatunk egy h\u00e1l\u00f3zati politik\u00e1t az 802.1x authentication mAB m\u00f3dszer sz\u00e1m\u00e1ra, nevezz\u00fck el neag-devices-8021x-voice. A param\u00e9terek a k\u00f6vetkez\u0151k:<\/p>\n